المفاتيح المتماثلة وغير المتماثلة ومتعددة المناطق

يدعم KMS المفاتيح المتماثلة وغير المتماثلة.

• المتماثلة: يستخدم مفتاح واحد للتشفير وفك التشفير.
• غير المتماثلة: زوج من المفاتيح العامة والخاصة.

يلائم كل نوع احتياجات مختلفة، ويُعد الاختيار الصحيح موضوعًا شائعًا في الاختبار.

تستخدم المفاتيح المتماثلة مفتاحًا سريًا واحدًا (AES-256) للتشفير وفك التشفير.

• وهي الافتراضية والأكثر شيوعًا في AWS.
• تستخدم جميع عمليات تكامل الخدمات تقريبًا (S3 وEBS وRDS) مفاتيح متماثلة.

لا يغادر المفتاح KMS، ولذلك يستدعي الطرفان KMS بدلًا من مشاركة المفتاح.

تحتوي المفاتيح غير المتماثلة على مفتاح عام يمكنك مشاركته، ومفتاح خاص يبقى داخل KMS.

وهي تدعم التشفير وفك التشفير أو التوقيع والتحقق. استخدمها عندما يتعين على طرف خارج AWS تشفير البيانات (باستخدام المفتاح العام) أو التحقق من توقيع دون الوصول إلى KMS.

اختر المفاتيح غير المتماثلة عندما:

• يجب تشفير البيانات خارج AWS، ولا يملك المستدعي سوى المفتاح العام.
• تحتاج إلى توقيعات رقمية لإثبات الأصالة.

في غير ذلك، تكون المفاتيح المتماثلة أبسط وهي الخيار الافتراضي لتشفير خدمات AWS.

لكل مفتاح KMS استخدام للمفتاح (التشفير وفك التشفير أو التوقيع والتحقق) ومواصفة للمفتاح (الخوارزمية) يتم تحديدهما عند الإنشاء.

لا يمكن لمفتاح التوقيع أن يشفّر، كما لا يمكن لمفتاح التشفير أن يوقّع. وتبقى هذه الخصائص ثابتة بعد إنشاء المفتاح، لذا خطط للاستخدام المقصود مسبقًا.

بالنسبة إلى المفاتيح المتماثلة المُدارة من العميل، يمكن لـKMS إجراء تدوير تلقائي لمادة المفتاح الأساسية كل عام.

• يبقى معرّف المفتاح والاسم المستعار كما هما.
• يُحتفظ بالمادة القديمة لفك تشفير البيانات القديمة.

لا تدعم المفاتيح غير المتماثلة التدوير التلقائي.

تتكون المفاتيح متعددة المناطق من مفتاح أساسي ونسخ متماثلة في مناطق أخرى، وتشترك جميعها في معرّف المفتاح والمادة نفسيهما.

يمكن فك تشفير البيانات المشفرة في منطقة ما باستخدام النسخة المتماثلة في منطقة أخرى من دون استدعاء KMS عابر للمناطق. ويدعم ذلك التطبيقات العالمية والتعافي من الكوارث.

تناسب المفاتيح متعددة المناطق سيناريوهات مثل:

• التعافي من الكوارث عبر المناطق، حيث يجب أن تكون النسخ الاحتياطية المشفّرة قابلة للاستخدام في منطقة ثانية.
• الجداول العالمية أو البيانات المنسوخة عبر المناطق.

أما البيانات التي تبقى في منطقة واحدة، فالمفتاح القياسي أحادي المنطقة أبسط.

يتيح لك KMS استيراد مواد المفاتيح الخاصة بك (BYOK) إلى مفتاح متماثل.

تتحكمون في إنشاء المادة والاحتفاظ بها، لكنكم تفقدون التدوير التلقائي، ويجب إعادة الاستيراد إذا انتهت صلاحية المادة. وهذا يلبي السياسات التي تتطلب إنشاء المفاتيح خارج AWS.

لأشد المتطلبات صرامة، يدعم مخزن مفاتيح مخصص مفاتيح KMS باستخدام عنقود CloudHSM مخصص أو HSM خارجي.

تُجرى عمليات المفاتيح في أجهزة تتحكمون فيها، مع استمرار استخدام KMS API المألوف. ويُحجز هذا الخيار لالتزامات الامتثال الصارمة.

ملخص الخيارات:

• متماثل لتشفير AWS اليومي (الإعداد الافتراضي).
• غير متماثل للتشفير أو التوقيع الخارجي.
• متعدد المناطق للاحتياجات العابرة للمناطق.

طابقوا نوع المفتاح مع تدفق البيانات في السيناريو.

قارنتم بين أنواع مفاتيح KMS.

• المفتاح المتماثل هو الإعداد الافتراضي في AWS؛ أما غير المتماثل فيتيح التشفير والتوقيع الخارجيين.
• تشارك مفاتيح متعددة المناطق المادة نفسها عبر المناطق لتحقيق التعافي من الكوارث.
• ينطبق التدوير التلقائي على المفاتيح المتماثلة؛ أما BYOK ومخازن المفاتيح المخصصة فتلبّي الاحتياجات الصارمة.